Estafas en Telegram que usan el nombre de tu equipo: un manual para el negocio suplantado

La semana pasada uno de tus clientes hizo una pregunta en tu grupo de Telegram, y alguien le respondió antes que tu equipo. No en el grupo. Por mensaje privado, desde una cuenta con el nombre de tu responsable de soporte, tu logo como foto y un enlace para "verificar la wallet" o "arreglar el pago atascado".

Todas las guías sobre estafas en Telegram están escritas para la persona que recibió ese mensaje. Esta está escrita para ti, el negocio cuyo nombre se usó. Tu cliente perdió dinero o estuvo a punto, y recordará qué nombre aparecía en esa cuenta.

Empieza con un número. Telegram solo permite que un admin oculte la lista de miembros de un supergrupo cuando el grupo tiene al menos 100 miembros, el valor por defecto fijado en la configuración de la API de Telegram para ocultar participantes. Por debajo de esa cifra, cualquiera que se una puede recorrer tu lista completa de miembros. Por encima, todavía puede ver a cada persona que publica un mensaje, que es justo la persona que busca el falso admin: la que acaba de reconocer que tiene un problema.

Los patrones cambian su redacción cada pocos meses. La mecánica casi no cambia. Todos dependen de que el cliente no sepa cuál es realmente tu cuenta.

Es el patrón construido de forma más directa sobre tu propio grupo. Un estafador se queda en tu grupo, espera a que alguien publique sobre una transacción fallida, una cuenta bloqueada o un reembolso, y le escribe en privado en cuestión de minutos. El nombre visible copia el de alguien de tu equipo. La foto sale de su perfil. La primera frase suena a tu soporte, porque las respuestas de tu soporte están en el grupo para que cualquiera las lea.

El cliente está predispuesto. Pidió ayuda, y la ayuda llegó. La estafa funciona porque tu soporte real es más lento que el falso. Es incómodo, y también es la parte que tú controlas.

Los usernames de Telegram son únicos. Los nombres visibles no. Cualquiera puede ponerse "Acme Support" como nombre y subir tu logo. Lo que no puede hacer es quedarse con tu @username exacto. Así que el estafador registra lo más parecido: un guion bajo extra, un cero en lugar de una O, "official" añadido al final.

La mayoría de los clientes nunca miran el username. Miran el nombre y la foto en la cabecera del chat, que son justo las dos cosas que copió el estafador.

Un bot con tu marca en el nombre, o un enlace a una página que pide un código de inicio de sesión de Telegram, funciona con clientes a los que se les ha dicho que algún proceso necesita "verificación". Las propias FAQ de Telegram dicen que sus códigos de inicio de sesión solo llegan al chat verificado "Verification Codes" y que nunca deben compartirse con nadie, tampoco con otras apps. Su sección sobre bots es igual de clara: no le des a un bot tus contraseñas, códigos de Telegram ni datos bancarios, por muy educadamente que te los pida.

Si tu producto alguna vez pide a un cliente que verifique algo dentro de Telegram, un estafador copiará ese paso. Elimínalo si puedes. Si no puedes, describe en público exactamente cómo es, para que una copia destaque.

Aparecen después de la primera oleada. Un cliente que perdió dinero lo cuenta en público, y las respuestas se llenan de cuentas que ofrecen recuperar los fondos a cambio de una comisión. Si publicas un aviso sobre un suplantador, espera las mismas respuestas debajo. Redacta el aviso de forma que ya les responda: nadie de tu equipo, ni nadie más, puede recuperar el dinero a cambio de una comisión.

Telegram te da más de lo que la gente cree, y menos de lo que querrías. Esto es lo que existe, comprobado en las páginas de Telegram el 2026-10-14.

Las FAQ de Telegram dicen que todas las apps tienen botones de Report que envían el contenido a los moderadores. Su respuesta a "¿qué pasa si alguien se hace pasar por mí?" es una sola línea: contacta con @NoToScam. Esa cuenta aparece como "Report Impersonation". Ábrela desde el enlace de las FAQ de Telegram y no desde la búsqueda, porque los suplantadores también copian las cuentas de denuncia.

En un negocio, quien debe presentar la denuncia a @NoToScam es la persona suplantada: el miembro de tu equipo, o un admin de tu canal oficial cuando lo que se copia es la marca. Incluye el @username exacto del estafador y una captura del DM que recibió tu cliente. Después pide a tu cliente que también denuncie la cuenta desde su lado, porque la denuncia de quien recibió el mensaje es la que está vinculada al chat.

Las FAQ sobre spam añaden que los admins de un grupo pueden denunciar a los usuarios que publican spam en sus grupos. Hazlo con la cuenta del estafador si sigue siendo miembro, y luego elimínala.

La API de Telegram define dos indicadores en una cuenta: scam, descrito como "This may be a scam user", y fake, que se activa cuando muchos usuarios han denunciado una cuenta como falsa o estafa (objeto user). Las apps los muestran como una etiqueta de aviso junto al nombre. No puedes aplicarla tú. Las denuncias son la entrada; la etiqueta es decisión de Telegram.

La política de verificación de Telegram verifica canales, bots y grupos públicos que cumplen criterios de notoriedad, como perfiles verificados en al menos dos grandes plataformas sociales y cobertura en prensa. También dice claramente que, por ahora, Telegram no verifica cuentas de usuario.

Eso importa más de lo que parece. Tu equipo de soporte responde desde una cuenta personal. Esa cuenta nunca llevará una marca azul, así que el cliente no tiene nada en la propia cuenta que le permita distinguir tu soporte real de una copia.

La verificación de terceros cierra parte de esa brecha. La misma política permite que una organización cuyo bot oficial ya está verificado solicite, a través de @VerifyBot, convertirse en verificadora, y después marque cuentas y chats con su propio icono, como se describe en la documentación para desarrolladores. Para una marca grande que cumpla los requisitos, eso puede significar un icono en cada cuenta del equipo. Para la mayoría de los negocios que ofrecen soporte por Telegram, el listón es demasiado alto este año.

Tres ajustes reducen la facilidad con la que un estafador encuentra a tus clientes. Ninguno impide que un estafador lea el grupo.

• Ocultar miembros. Disponible cuando un supergrupo tiene al menos 100 miembros. La lista desaparece para los miembros, pero cualquiera que publique sigue siendo visible, así que la persona que pide ayuda sigue expuesta.
• Solicitudes de unión. Haz que los nuevos miembros esperen la aprobación de un admin (documentación de invitaciones). Frena a las cuentas que se unen solo para recopilar datos. No te dice quién es un estafador.
• Aggressive Anti-Spam. Las FAQ lo recomiendan para grupos grandes. La configuración de Telegram fija el mínimo por defecto en 200 miembros. Elimina el spam publicado en el grupo; no ve los DMs.

Telegram también permite que una persona impida que desconocidos inicien chats con ella. La API documenta una opción de privacidad que limita los nuevos chats a contactos, usuarios Premium y personas que ya tienen un chat abierto con ella (ajustes globales de privacidad), y las FAQ mencionan que algunos usuarios cobran Stars por los mensajes de quienes no son contactos. Ambos son ajustes de tu cliente, no tuyos, y una cuenta Premium sigue pudiendo escribir.

Piensa en lo que realmente necesita un suplantador convincente. Una lista de quiénes son tus clientes. Los nombres y el tono de tu equipo de soporte. E, idealmente, quién tiene un problema abierto ahora mismo, porque esa persona está esperando un DM.

Alguien de fuera obtiene lo primero de tu lista de miembros y lo tercero de los mensajes públicos de tu grupo. Alguien que ha trabajado dentro de tu bandeja de soporte tiene las tres cosas, además de las palabras exactas que usa tu equipo y los detalles del caso de cada cliente. En nuestra opinión, ese es el suplantador que más debe preocuparte. Un colaborador externo que se va con una lista de usernames y de incidencias abiertas no necesita adivinar a quién escribir.

Ese es el riesgo de datos internos de un CRM, visto desde fuera. No aparece como una brecha de seguridad. Aparece semanas después, cuando tus clientes reciben DMs muy precisos de alguien que no eres tú.

El límite: la mayor parte de la suplantación que verás la hacen personas de fuera que leen un grupo público, y ningún control interno toca eso. Los controles hacia dentro cierran una vía, la más peligrosa. El manual público de abajo tiene que hacer el resto.

Nada de esto necesita una herramienta. Todo necesita escribirse una vez y repetirse en cada lugar donde miran tus clientes.

Elige un @username para soporte. Ponlo en la página de contacto de tu web, en la descripción de tu canal oficial, en el mensaje fijado de tu grupo y en tus firmas de email. Usa exactamente la misma cadena en todos los sitios, para que una copia se vea mal al lado.

Telegram lo hace consigo mismo. Sus FAQ nombran sus vías oficiales de soporte y dicen que no tiene otras cuentas de soporte en plataformas sociales, y que quien diga lo contrario no es Telegram. Di lo mismo sobre tu negocio.

Escribe la regla como algo que un cliente pueda comprobar: "Nuestro equipo nunca te escribirá primero. El soporte solo responde desde @acme_support, después de que tú le escribas". Fíjala en el grupo junto con el resto de tus reglas del grupo. Ponla en el mensaje de bienvenida del grupo, que Telegram lanzó el 2026-08-25 y que solo ve el nuevo miembro, para que llegue a la gente justo cuando es más probable que la ataquen.

Después cumple la regla. Si un comercial escribe primero a un cliente, la regla no vale nada, porque el cliente ya sabe que existen excepciones.

Si cinco personas del equipo responden a los clientes cada una desde su propia cuenta de Telegram, tus clientes tienen que aprenderse cinco identidades. Un estafador solo necesita copiar una. Si todo el equipo responde desde una única cuenta de soporte compartida, hay exactamente una identidad que aprender, y cualquier otra cuenta que use tu nombre es falsa por definición.

Aquí es también donde se atascan la mayoría de los equipos, porque una cuenta de Telegram en un teléfono no funciona para cinco personas en un turno. Entergram está hecho para este caso: un equipo puede compartir una cuenta de Telegram dentro de un workspace, y todos la atienden desde una sola interfaz, así que el cliente siempre habla con el mismo @username mientras el trabajo se reparte entre el equipo. Funciona sobre cuentas personales reales de Telegram, no bots, así que la cuenta que ven tus clientes es una cuenta normal de Telegram con tu username de soporte. Nuestra página de software de soporte para Telegram explica cómo funcionan la bandeja compartida y los tickets. Entergram no detecta estafas, no marca cuentas parecidas ni denuncia suplantadores ante Telegram. Elimina el motivo por el que los clientes tienen que adivinar cuál de tus cuentas es la real.

Los controles de privacidad de Entergram miran hacia dentro. Puedes ocultar los usernames y la información de los miembros de los grupos a los usuarios de tu workspace, e impedir que editen o eliminen mensajes. Los dos primeros hacen que un empleado o un colaborador externo que atiende tu cola de soporte no se vaya con una lista de quiénes son tus clientes. Los dos últimos hacen que el historial de lo que realmente dijo tu cuenta de soporte quede intacto, lo que importa cuando un cliente reenvía una captura y pregunta si vino de ti. Para tener una copia de ese historial fuera de Telegram, consulta copia de seguridad de chats de Telegram para empresas.

El límite: estos controles se aplican a lo que tu equipo ve dentro de Entergram. No cambian lo que Telegram muestra a otros usuarios de Telegram, y no ocultan la lista de miembros de tu grupo a un estafador que se unió al grupo. Para eso está el ajuste Ocultar miembros de Telegram, explicado arriba.

Cuando un cliente te dice que lo contactó una cuenta falsa:

1. Pide el @username exacto y una captura. El nombre visible no sirve como prueba.
2. Denuncia la cuenta en la app, pide al cliente que también la denuncie y preséntala ante @NoToScam desde la cuenta del miembro del equipo o el canal que se está copiando.
3. Elimina la cuenta de tu grupo si es miembro y denúnciala allí como spam.
4. Publica un aviso breve en el grupo que nombre el @username falso y repita tu única identidad de soporte real.
5. En esa misma publicación, di que nadie puede recuperar fondos perdidos a cambio de una comisión.

Si la suplantación consiste en tomar el control de una cuenta real del equipo en lugar de copiarla, es otro tipo de incidente. Sigue primero cómo proteger una cuenta de Telegram: cierra las sesiones desconocidas y activa la verificación en dos pasos. Y si tu propia cuenta de soporte queda restringida tras denuncias masivas, los pasos están en qué hacer cuando una cuenta de Telegram está congelada.

Todo lo anterior reduce lo convincente que parece un suplantador. La moderación reduce el tiempo que pasa en tu grupo. Un equipo que elimina las cuentas de estafa en minutos, y etiqueta a los reincidentes para que todos los moderadores los reconozcan, le da al falso admin menos tiempo para encontrar una víctima. Nuestro manual de moderación de comunidades cubre turnos, etiquetas y escalado para grupos grandes, y nuestra guía de soporte al cliente desde una cuenta personal de Telegram explica por qué los clientes esperan una persona y no un bot.

Denuncia la cuenta desde Telegram con la opción Report y envía los detalles a @NoToScam, la cuenta que las FAQ de Telegram indican para casos de suplantación. Incluye el @username exacto y una captura. Pide al cliente que recibió el mensaje que también lo denuncie.

Usa la opción Report de la app sobre el mensaje o la cuenta. Si el estafador es miembro de un grupo que gestionas, denúncialo como spam desde el grupo y elimínalo. Si se está suplantando tu marca o a un miembro de tu equipo, @NoToScam es la vía que indica Telegram.

No en una cuenta personal. La política de verificación de Telegram cubre canales, bots y grupos públicos que cumplen sus criterios, y dice que por ahora no verifica cuentas de usuario. Una organización verificada por Telegram puede convertirse en verificadora externa y marcar las cuentas de su propio equipo, pero eso requiere antes un bot verificado.

Telegram la aplica a cuentas que considera probables estafas o que muchos usuarios denunciaron como falsas o estafa. No puedes añadírsela tú a un suplantador. Denunciar es la forma de alimentar esa decisión.

No puedes evitarlo del todo. Puedes hacerlo menos eficaz: oculta la lista de miembros cuando superes los 100 miembros, exige solicitudes de unión, activa Aggressive Anti-Spam en grupos grandes, fija una regla de "nunca escribimos primero" y ponla en el mensaje de bienvenida del grupo. Los autores de los mensajes siguen visibles pase lo que pase, así que la regla pública importa más que cualquier ajuste.

No. Entergram no busca estafas ni marca cuentas parecidas. Permite que un equipo responda desde una única cuenta de soporte compartida para que los clientes solo tengan que aprender una identidad, y puede ocultar los usernames y la información de los miembros de los grupos a tu propio equipo.

Cuenta en cuántas cuentas de Telegram les has dicho a tus clientes que confíen. Si la respuesta honesta es "en quien del equipo haya respondido", un estafador lo tiene fácil. Elige esta semana el @username que será tu identidad de soporte, ponlo en tu mensaje fijado y en tu mensaje de bienvenida, y después decide si tu equipo puede responder de forma realista desde esa única cuenta con la configuración que tienes ahora.